Cleo Harmony, eine Anwendung für Managed File Transfer, ist erneut Ziel von Sicherheitsforschern und potenziell von Angreifern: Für die Schwachstelle CVE-2026-84115 ist ein funktionsfähiger Exploit veröffentlicht worden. Betroffen ist die Verarbeitung von JWT-Refresh-Token. Über manipulierte Bearer-Argumente können nicht authentifizierte Angreifer aus der Ferne ihre Rechte ausweiten.
Der Fehler steckt nach Darstellung von VulnDB in einer unbekannten Funktion der Datei „/api/connections“. Ein Angreifer kann ein bösartiges Payload konstruieren, das die Argumente in HTTP-Headern verfälscht, und damit Zugriffskontrollen umgehen. Das Ergebnis ist eine Rechteausweitung innerhalb der Anwendung.
„Die Ausnutzungsstrategie besteht typischerweise darin, legitimen Verkehr abzufangen oder neue Anfragen zu fälschen, bei denen die Logik der JWT-Refresh-Token durch fehlerhaft aufgebaute oder wiedergespielte Bearer-Token umgangen wird“, schreibt VulnDB. Angreifer könnten die Lücke nutzen, um sich dauerhaften Zugang zu verschaffen, ihre Berechtigungen zu erhöhen oder sich seitlich zu anderen Systemen zu bewegen, die mit Cleo Harmony verbunden sind.
Dass ein Exploit öffentlich verfügbar ist, erhöht nach Einschätzung von VulnDB das Risiko für alle Organisationen, die die Software betreiben, deutlich. Behoben ist die Schwachstelle in Cleo Harmony 5.8.1.11. Details zum Fehler nannte der Hersteller in seinem Advisory jedoch nicht.
Ein zusätzlicher Faktor ist die Vorgeschichte des Produkts. Das Unternehmen WatchTowr, das sich auf das Management von Angriffsflächen spezialisiert hat, bezeichnet Cleo Harmony als „beliebtes Ziel von Ransomware-Banden“. Ende 2024 hatte die Ransomware-Gruppe Cl0p eine Schwachstelle in einem Cleo-Produkt ausgenutzt, um Daten großer Organisationen zu entwenden.
WatchTowr erklärte am Dienstag, man habe die Schwachstelle bereits reproduziert, und rief Betreiber zu rascher Reaktion auf. Kunden von Cleo Harmony sollten ihre Instanzen daher so schnell wie möglich auf die fehlerbereinigte Version aktualisieren.